Step 5の締めくくりとしての位置づけ
前回のQ-09では、そもそも個人情報を持たないことが最強の防御だと学びました。ここまでで、認証・認可から秘密情報・個人情報まで、守りの道具が一通り揃っています。この最終回は、それらを個別の知識のまま終わらせず、一つのアプリに対してまとめて点検する型を身につける回です。公開してよいかを判断する、Step 5の締めくくりにあたります。
このスライドのポイント
- 前回Q-09: そもそも個人情報を「持たない」ことが最強の防御
- ここまでで守りの道具（認証・認可・秘密情報・個人情報）が一通り揃った
- この最終回の役割: 個別の知識を、一つのアプリに対してまとめて点検する型にする
脅威モデリングの定義
脅威モデリングとは、公開前に六つの項目を整理する活動です。守る対象、攻撃者、入口、起こり得る被害、対策、残存リスクの順に書き出します。守る対象はQ-09で棚卸ししたデータそのもの、対策はQ-01からQ-09までの総動員です。そして残存リスクとは、対策をしてもなお残るリスクを指します。公開判断とは、A-04で学んだ人間の最後の仕事であり、この残存リスクを知った上でYesと言うことなのです。
このスライドのポイント
- 脅威モデリング＝公開前に6項目を整理する活動
- 6項目: ①守る対象 ②攻撃者 ③入口 ④起こり得る被害 ⑤対策 ⑥残存リスク
- 残存リスク＝対策をしてもなお残るリスク
- 公開判断（A-04の人間の最後の仕事）＝残存リスクを知った上でYesと言うこと
なぜ脅威モデリングが必要か
この視点がないと、人は両極端に陥ります。一方は「対策は完璧にできる」という幻想です。しかし、あらゆるリスクをゼロにすることはできません。もう一方は「怖いから公開できない」という停止です。どちらも実務では前に進めません。プロの安全とは、リスクをゼロにすることではなく、残るリスクを把握して管理することです。残存リスクを知って公開する、この考え方があってはじめて、現実的な公開判断ができるようになります。
このスライドのポイント
- この視点がないと両極端に陥る
- 極端A: 「対策は完璧にできる」という幻想（リスクはゼロにできない）
- 極端B: 「怖いから公開できない」という停止
- プロの安全＝リスクをゼロにすることではなく、残るリスクを把握して管理すること
6項目とカテゴリQ全体の対応
構造を一枚の表で見ます。六つの項目を縦に並べ、それぞれにカテゴリQのどの講義が効くかを対応づけます。守る対象はQ-09、攻撃者と入口は公開面の列挙、被害はアプリごとに具体化し、対策の列にはQ-01の認可、Q-02のハッシュ、Q-05のRLS、Q-06の無害化などが並びます。この表は、カテゴリQ全体の地図でもあります。空欄が残る行は、まだ考えきれていない箇所を教えてくれます。
このスライドのポイント
- 6項目を縦に並べ、それぞれにカテゴリQのどの講義が効くかを対応づける
- 守る対象＝Q-09／対策＝Q-01の認可・Q-02のハッシュ・Q-05のRLS・Q-06の無害化 ほか
- この表はカテゴリQ全体の地図でもある
- 空欄が残る行＝まだ考えきれていない箇所
経費アプリで書く——「社内だから安全」の誤解を潰す
経費アプリで書いてみます。利用者は社内50人、A-08で決めた公開範囲は社内のみです。ここで陥りがちなのが「社内だから安全」という誤解です。社内限定でも脅威は存在します。退職者がQ-03やQ-04の失効漏れで入り続けるかもしれません。正規の利用者が誤操作するかもしれません。Q-09で見たように、データを持ち出す人もいます。公開範囲が狭いことと、リスクがないことは別物です。だからこそ、社内アプリでも脅威モデリングは省けません。
このスライドのポイント
- 経費アプリ: 利用者は社内50人、A-08で決めた公開範囲は社内のみ
- 陥りがちな誤解＝「社内だから安全」
- 社内限定でも脅威は存在する: 退職者（Q-03/04の失効漏れ）・誤操作・持ち出し（Q-09）
- 公開範囲が狭いことと、リスクがないことは別物
技術サンプルカード: 脅威モデリング6項目の記入例
サンプルは、経費アプリの脅威モデリング表です。六つの項目それぞれに記入例を入れました。読み方のポイントは二つです。第一に、この表はそのまま公開前レビューの議題になります。第二に、残存リスクの欄が空の表は未完成だということです。リスクがゼロということはあり得ないので、正直に書けない残存リスクは、まだ把握できていないリスクだと考えてください。AIには「脅威モデリング表を6項目で作り、特に残存リスクを正直に書いて」と頼みます。
混同しやすい概念: 「対策済み」と「残存リスクの受容」
混同しやすいのは、「対策済み」と「残存リスクを把握して受容」の違いです。対策済みという言葉は、ときにリスクはゼロにできたという幻想を指します。しかし本当のプロの状態は、対策をした上でなお残るリスクを把握し、それを受け入れて公開している状態です。両者の見分け方は単純で、残存リスクを言葉にできるかどうかです。書けない残存リスクは、対策できたのではなく、そのリスクに気づいていないだけかもしれません。
バイブコーディングでの確認点
確認の型はこうです。公開前の最終関門として、この六項目の表をAIと一緒に作ります。そして人間が残存リスクの欄を読み、公開してよいかを判断します。判断の主体は、あくまで人間です。さらに、この表は一度作って終わりではありません。機能を追加するたびに表を更新し、生きた文書として保ち続けます。AIへの質問例は「この変更で新たに増えた脅威と残存リスクを、表に追記してください」です。
このスライドのポイント
- 公開前の最終関門として、6項目の表をAIと一緒に作る
- 人間が⑥残存リスクの欄を読み、公開してよいかを判断する（判断の主体は人間）
- 一度作って終わりにせず、機能追加のたびに更新して「生きた文書」にする
- AIへの質問例: 「この変更で新たに増えた脅威と残存リスクを、表に追記してください」
一問一答とまとめ
最後に一問一答です。公開判断とは、何を知った上でYesと言うことでしょうか。……答えは、残存リスク、つまり対策後も残るリスクです。30秒でまとめます。脅威モデリングは六つの項目を整理する活動で、公開判断とは残存リスクを知って公開することでした。これでカテゴリQは修了、守りの型が揃いました。次回からはカテゴリR、いよいよ公開の仕組みへ進みます。関連資料は「AIアプリ公開前チェックリスト100」「AIアプリのセキュリティ超入門」「個人情報を扱うAIアプリ注意点」です。
このスライドのポイント
- 一問一答:「公開判断とは、何を知った上でYesと言うこと？」→ 残存リスク（対策後も残るリスク）
- 30秒まとめ: 脅威モデリング＝6項目を整理する活動／公開判断＝残存リスクを知って公開すること
- カテゴリQ修了。次回はカテゴリR、公開の仕組みへ
- 関連資料: 「AIアプリ公開前チェックリスト100」「AIアプリのセキュリティ超入門」「個人情報を扱うAIアプリ注意点」
